RODO w MoreCRM — umowa powierzenia

Jak to działa w praktyce

Ty (firma korzystająca z MoreCRM) jesteś administratorem danych swoich klientów. My (Do More Soft Hubert Ptaszek, ul. Olszewskiego 6, 25-663 Kielce, NIP 7681848372, przedsiębiorca wpisany do CEIDG) jesteśmy podmiotem przetwarzającym w rozumieniu art. 28 RODO. Niniejszy dokument jest umową powierzenia i zostaje zawarty z chwilą akceptacji Regulaminu. Poniżej zasady, na które się umawiamy.

1. Przedmiot i czas trwania

Powierzasz nam przetwarzanie danych osobowych wyłącznie w celu świadczenia usługi MoreCRM (prowadzenie bazy klientów i pojazdów, wyceny, realizacje, kalendarz, dokumenty, płatności, komunikacja z klientami) przez czas trwania umowy o świadczenie usług. Po jej zakończeniu — patrz sekcja 8.

2. Zakres danych i kategorie osób

• Klienci Twojej firmy (osoby fizyczne, przedsiębiorcy): imię i nazwisko, telefon, e-mail, adres, NIP, dane pojazdów (marka, model, rocznik, numer rejestracyjny, VIN), historia usług, wyceny, faktury, płatności, zdjęcia pojazdów, notatki, zgody marketingowe, korespondencja (SMS, e-mail).
• Twoi pracownicy: imię i nazwisko, e-mail, rola, godziny pracy, przypisane zadania, logi aktywności w systemie.
• Osoby kontaktowe u Twoich kontrahentów: imię i nazwisko, e-mail, telefon, stanowisko.

Nie powierzasz nam danych szczególnych kategorii (art. 9 RODO). Jeśli w notatkach pojawią się takie dane (np. stan zdrowia), odpowiadasz za podstawę ich przetwarzania.

3. Nasze obowiązki

• Przetwarzamy dane wyłącznie na Twoje udokumentowane polecenie — poleceniem jest korzystanie z funkcji systemu i ustawienia, które w nim wybierasz.
• Nie wykorzystujemy powierzonych danych do własnych celów, nie łączymy baz różnych firm i nie trenujemy na nich modeli uczących.
• Osoby mające dostęp do danych (zespół MoreCRM) są zobowiązane do zachowania poufności; dostęp serwisowy do Twojego konta jest możliwy tylko po Twojej zgodzie w ustawieniach organizacji, na określony czas, i jest zapisywany w dzienniku.
• Wdrażamy środki z sekcji 5 i utrzymujemy je przez cały czas trwania umowy.
• Pomagamy Ci realizować prawa osób (dostęp, sprostowanie, usunięcie, przenoszenie): system ma eksport danych klienta i anonimizację, a w sprawach nietypowych odpowiadamy w 5 dni roboczych.
• O naruszeniu ochrony danych informujemy Cię bez zbędnej zwłoki, nie później niż w 36 godzin od stwierdzenia, podając zakres, skutki i podjęte działania.
• Udostępniamy informacje potrzebne do wykazania zgodności i umożliwiamy audyt (po uzgodnieniu terminu, nie częściej niż raz w roku, na Twój koszt, bez dostępu do danych innych firm).

4. Twoje obowiązki

• Masz podstawę prawną do przetwarzania danych, które wprowadzasz (umowa z klientem, zgoda marketingowa, uzasadniony interes) i spełniasz obowiązek informacyjny wobec swoich klientów.
• Nadajesz pracownikom role adekwatne do zadań i odbierasz dostęp, gdy odchodzą.
• Nie wysyłasz przez system komunikacji marketingowej bez zgody odbiorcy — system pilnuje flag zgód, ale ich treść i podstawa są po Twojej stronie.

5. Środki bezpieczeństwa

• Szyfrowanie transmisji (TLS 1.2+) i danych w spoczynku (AES-256 na dyskach i w kopiach zapasowych).
• Izolacja danych każdej firmy w bazie na poziomie wierszy (Row Level Security) — zapytanie bez kontekstu organizacji nie zwraca żadnych danych.
• Hasła jako skróty Argon2id; opcjonalne uwierzytelnianie dwuskładnikowe; wymuszone dla administratorów MoreCRM.
• Kopie zapasowe co 24 h, szyfrowane, przechowywane w UE, test odtworzenia co kwartał; punkt odtworzenia do 24 h wstecz.
• Dziennik zdarzeń administracyjnych i dostępu serwisowego; rozdzielenie środowisk testowych i produkcyjnych; przegląd zależności pod kątem podatności w procesie wdrożeniowym.
• Zdjęcia i dokumenty w prywatnym magazynie, dostępne wyłącznie przez podpisane, krótkotrwałe adresy.

6. Podpowierzenie

Korzystamy z następujących dalszych podmiotów przetwarzających; wszystkie w UE lub objęte decyzją o adekwatności / standardowymi klauzulami umownymi:

O zamiarze dodania lub zmiany podmiotu poinformujemy Cię e-mailem z 14-dniowym wyprzedzeniem. Możesz wnieść sprzeciw; jeśli zmiana jest niezbędna do świadczenia usługi, możesz wypowiedzieć umowę bez dodatkowych kosztów.

7. Przekazywanie poza EOG

Dane przechowujemy w UE. Przekazanie poza EOG następuje wyłącznie do podmiotów z sekcji 6 na podstawie art. 45 lub 46 RODO. Funkcje AI (np. podpowiedzi treści) działają wyłącznie na danych pseudonimizowanych — bez imion, kontaktów i numerów VIN — chyba że administrator wyraźnie włączy przetwarzanie pełnych danych w ustawieniach.

8. Zakończenie umowy

Po zakończeniu umowy przez 30 dni masz dostęp do eksportu wszystkich danych (CSV, JSON, pliki). Po tym czasie dane zostają trwale usunięte z systemów produkcyjnych, a z kopii zapasowych — w cyklu ich rotacji, nie dłużej niż 90 dni. Dokumenty księgowe, które musimy przechowywać na podstawie prawa (nasze faktury za usługę), zachowujemy przez okres wymagany przepisami.

9. Odpowiedzialność

Każda ze stron odpowiada za naruszenia w zakresie swoich obowiązków wynikających z RODO i tej umowy. Nasza odpowiedzialność wobec Ciebie z tytułu tej umowy jest ograniczona do wysokości opłat zapłaconych za usługę w ciągu 12 miesięcy poprzedzających zdarzenie, chyba że szkoda wynikła z winy umyślnej.

10. Kontakt

W sprawach ochrony danych: [email protected], tel. +48 500 183 277 (dni robocze 8:00–20:00). Zgłoszenia naruszeń prosimy oznaczać w temacie słowem „NARUSZENIE” — w pilnych sprawach dzwoń.

11. Postanowienia końcowe

Umowa obowiązuje przez czas trwania umowy o świadczenie usługi i wygasa wraz z nią, z wyjątkiem obowiązków z sekcji 8. Zmiany wymagają formy dokumentowej (e-mail wystarczy). W sprawach nieuregulowanych stosuje się RODO i prawo polskie. Na Twój wniosek prześlemy tę umowę jako PDF do podpisu, jeśli wymaga tego Twoja dokumentacja.